← volver
CVE-2022-21661

SQL injection in WordPress

CVSS 8 HIGHEPSS 97.8%CWE-89
En resumen

WordPress tiene una vulnerabilidad de inyección SQL en WP_Query donde entradas no adecuadamente desinfectadas pueden permitir que atacantes ejecuten comandos no autorizados en la base de datos a través de plugins o temas vulnerables. Esta falla afecta múltiples versiones y requiere actualización para su corrección.

Detalle técnico

Inyección SQL (CWE-89) en WP_Query causada por desinfección insuficiente de entrada permite que atacantes inyecten código SQL malicioso a través de plugins o temas que utilizan WP_Query sin parametrización apropiada. La vulnerabilidad requiere explotación de plugin o tema vulnerable, y el éxito resulta en acceso y manipulación no autorizados de la base de datos. Corregida en versión WordPress 5.8.3 y versiones anteriores hasta 3.7.37.

Resumen generado y traducido por IA a partir de la descripción oficial.
WordPress is a free and open-source content management system written in PHP and paired with a MariaDB database. Due to improper sanitization in WP_Query, there can be cases where SQL injection is possible through plugins or themes that use it in a certain way. This has been patched in WordPress version 5.8.3. Older affected versions are also fixed via security release, that go back till 3.7.37. We strongly recommend that you keep auto-updates enabled. There are no known workarounds for this vulnerability.
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H
Productos afectados
WordPress · wordpress-develop
PoCs públicas encontradas — 15
githubgithub.com/z92g/CVE-2022-21661★ 27githubgithub.com/purple-WL/wordpress-CVE-2022-21661★ 17githubgithub.com/0x4E0x650x6F/Wordpress-cve-CVE-2022-21661★ 14githubgithub.com/guestzz/CVE-2022-21661★ 7githubgithub.com/sealldeveloper/CVE-2022-21661-PoC★ 6githubgithub.com/WellingtonEspindula/SSI-CVE-2022-21661★ 6githubgithub.com/daniel616/CVE-2022-21661-Demo★ 2githubgithub.com/Fauzan-Aldi/CVE-2022-21661★ 0githubgithub.com/safe3s/CVE-2022-21661★ 0githubgithub.com/p4ncontomat3/CVE-2022-21661★ 0githubgithub.com/CharonDefalt/WordPress--CVE-2022-21661★ 0githubgithub.com/w0r1i0g1ht/CVE-2022-21661★ 0githubgithub.com/7rootsec/CVE-2022-21661-Technical-Analysis★ 0cve_referencewww.exploit-db.com/exploits/50663no verificadocve_referencepacketstormsecurity.com/files/165540/WordPress-Core-5.8.2-SQL-Injection.htmlno verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.

¿Quieres saber si tu infraestructura está expuesta a esto?

Hablar con TrueHacking →
Referencias
http://packetstormsecurity.com/files/165540/WordPress-Core-5.8.2-SQL-Injection.htmlhttps://github.com/WordPress/wordpress-develop/commit/17efac8c8ec64555eff5cf51a3eff81e06317214https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-6676-cqfm-gw84https://lists.debian.org/debian-lts-announce/2022/01/msg00019.htmlhttps://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/CV4UNEC63UU5GEU47IIR4RMTZAHNEOJG/https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/DM6XPH3JN6V4NF4WBOJTOXZIVE6VKKE3/https://wordpress.org/news/2022/01/wordpress-5-8-3-security-release/https://www.debian.org/security/2022/dsa-5039https://www.exploit-db.com/exploits/50663https://www.vicarius.io/vsociety/posts/understanding-the-wordpress-sql-injection-vulnerability-cve-2022-21661https://www.zerodayinitiative.com/advisories/ZDI-22-020/